Qual é o CIDR recomendado ao criar o VPC no AWS?

Question

Eu tenho criado o AWS VPC e estou querendo saber se existe um valor CIDR recomendado ao criar VPCs. Quais são os fatores que devo considerar ao escolher um CIDR e o valor do CIDR afeta o desempenho da rede?

    

Answer 1

Eu recomendaria as seguintes considerações:

Se você criar uma conexão IPSEC entre sua LAN corporativa e sua VPC, use um CIDR diferente do da sua LAN corporativa. Isso evitará sobreposições de roteamento e criará uma distinção de identidade para referência.

Para redes muito grandes, use pelo menos diferentes máscaras de 16 bits em diferentes regiões, por exemplo,

eu-west-1 10.1.0.0/16
us-east-1 10.2.0.0/16
us-west-1 10.3.0.0/16

Para redes menores, use uma máscara de 24 bits em regiões diferentes, por exemplo,

eu-west-1 10.0.1.0/24
us-east-1 10.0.2.0/24
us-west-1 10.0.3.0/24

Considere fazer uma distinção entre sub-redes privadas e públicas, por exemplo

private 10.0.1.0/24 (3rd byte < 129)
public 10.0.129.0/24 (3rd byte > 128)

Não aloque excessivamente o espaço de endereço para sub-redes, por exemplo,

eu-west-1 10.0.1.0/26
eu-west-1 10.0.1.64/26
eu-west-1 10.0.1.128/26
eu-west-1 10.0.1.192/26

(62 hosts per subnet)

Não subaloque qualquer um deles. Se você usar uma carga de Elastic Load Balancers, lembre-se de que eles também consumirão endereços IP disponíveis em suas sub-redes. Isso é particularmente verdadeiro se você usar o ElasticBeanstalk.

    

Answer 2

Algumas coisas que considerei da última vez que criei um novo VPC:

1. Verifique se os intervalos de IP de regiões diferentes não se sobrepõem. Você não deve ter um 172.31.0.0/16 em us-west eu-ireland , por exemplo. Isso tornará a VPN entre essas duas regiões um problema que requer NAT duplo para resolver. Não, obrigado.
2. Verifique se o intervalo de IPs é grande o suficiente para manter todas as instâncias que você acha que precisar x.x.x.x/24 acomodará 254 endereços diferentes. Provavelmente existem centenas de calculadoras CIDR para ajudá-lo a descobrir isso.
3. Eu crio várias sub-redes diferentes em uma única VPC, em vez de criar várias VPCs. As sub-redes podem se comunicar entre si - posso ter sub-redes privadas versus públicas para manter algumas instâncias protegidas da Internet aberta. Use uma instância NAT para que a sub-rede privada possa falar com a sub-rede pública. Use grupos de segurança para isolar grupos de instâncias um do outro.

Answer 3

A Amazon não parece recomendar nenhum tamanho de rede específico para seu VPC (consulte a rede VPC o guia do administrador e observe o uso de / 16s), mas, em geral, há dois motivos para considerar os efeitos de desempenho do CIDR:

1. Roteamento . Um prefixo menor (rede maior) é freqüentemente usado para a agregação de rotas e pode, na verdade, melhorar o desempenho.
2. Transmissão e tráfego multicast, que é mais relevante para sua situação e pode resultar em desempenho reduzido em prefixos menores. Você pode atenuar os efeitos desse tráfego aumentando a sub-rede do VPC, conforme mostrado no guia de administração de rede.

Considere o número inicial de nós em seu VPC e o crescimento projetado para a vida útil esperada do projeto e você deve ter um bom ponto de partida para o tamanho do prefixo. Lembre-se de que não há problema em começar com um prefixo pequeno como / 16, porque você sempre pode criar sub-redes.

    

Answer 4

Outra consideração é se você precisará usar o AWS ClassicLink para permitir o acesso ao VPC a partir de instâncias do EC2 fora do VPC. Da documentação da AWS:

VPCs with routes that conflict with the EC2-Classic private IP address range of 10/8 cannot be enabled for ClassicLink. This does not include VPCs with 10.0.0.0/16 and 10.1.0.0/16 IP address ranges that already have local routes in their route tables. For more information, see Routing for ClassicLink.

de link